4. 等保2.0测评流程：五阶段全解析
等保2.0的落地，不是买个防火墙就完事了。它有一套标准的流程，说白了就是五个步骤：定级备案 → 安全建设 → 等级测评 → 安全整改 → 持续监控。我这些年经手过不少项目，发现很多团队在第一步就栽了跟头。咱们一个一个捋清楚。
4.1 定级与备案：别在第一步就翻车
定级是整个等保的基石。级别定错了，后面全是白干。系统分为五个安全保护等级，从第一级到第五级，防护要求逐级递增。
定级主要看两个要素：业务信息受到破坏后的侵害程度（影响对象、影响范围、影响程度），以及系统服务受到破坏后的侵害程度。两者取高值，就是最终定级。
核心原则：“就高不就低”。如果业务信息被篡改会造成严重后果，哪怕这个系统平时没什么人用，也得往高了定。
备案材料里，最关键的是《信息安全等级保护定级报告》和《信息系统安全等级保护备案表》。地市级系统去当地网安备案，部委和省级系统去省厅备案。
我个人的习惯：在写定级报告时，把“业务描述”和“系统边界”说清楚。边界画得模棱两可，后面测评师来现场，第一个问题就是：“这个系统到底包不包括那个模块？”
4.2 安全建设：合规不是装样子
定完级，就得按对应等级的要求去建。你想想看，一个第三级系统，要求必须做双因素认证、数据备份与恢复、入侵防范，这些不能等到测评前才临时抱佛脚。
具体建什么？我列个简表，三级系统最有代表性：
| 阶段 | 核心动作 | 输出物 | 我建议的避坑点 |
|---|---|---|---|
| 定级备案 | 分析业务安全性和系统重要性，确定保护等级 | 定级报告、备案表 | 边界别写模糊，评审时会被反复质疑 |
| 安全建设 | 按等级要求部署安全设备、开发安全功能 | 建设方案、拓扑图、配置记录 | 避免只堆硬件，没有管理制度配套 |
| 等级测评 | 委托测评机构做现场检查和渗透测试 | 测评报告、问题清单 | 提前自评一遍，别等第三方来“惊喜” |
| 安全整改 | 针对不合规项进行修复或补偿 | 整改方案、复测报告 | 优先解决高风险项，低风险可留到持续优化 |
| 持续监控 | 日常运维、日志审计、定期检查 | 监控报表、应急演练记录 | 日志保留时间要合规，三级系统不少于6个月 |
我曾经见过一个公司：系统是第三级，但服务器扔在杂物间，空调坏了都没人管。测评师一看温度，直接给“物理环境”项打了不合格。所以建设阶段，硬件环境和制度流程必须一起抓。
4.3 等级测评：一场“开卷考试”
测评机构会派人来现场，分技术测评和管理测评两条线。技术测什么？安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。管理测什么？安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。
测评结果有三个等级：符合、基本符合、不符合。三级系统要达到“基本符合”才算通过。我记得有一次，客户的技术团队把防火墙规则配得特别严，连正常的业务流量都拦了。测评师做连通性测试时，业务直接挂了。嗯，这里要注意：安全不是一刀切，平衡业务和安全才是关键。
4.4 安全整改：别等问题上门
测评报告出来后，会列出一堆不符合项。高风险的必须马上改，中低风险的可以列入整改计划。
整改分两类：
- 技术整改：比如加补丁、改策略、加密传输。
- 管理整改：比如补制度、完善流程、培训人员。
整改完成后，测评机构会安排复测。复测通过，才算正式过关。我习惯把整改过程做成一个“问题跟踪表”，每一条都标清楚负责人、计划完成时间和实际完成时间。
避坑经验：有些整改看似是技术问题，根子其实是管理缺位。比如口令太弱，单靠改密码复杂度没用，得从制度上规定定期更换和审计。
4.5 持续监控：等保不是一次买卖
很多人以为测评通过就万事大吉了。实际上，等保要求持续合规。系统如果做了变更，比如换了设备、改了架构，就需要重新走测评流程。
日常要做的事：
- 日志审计：至少保留6个月（三级系统要求）。
- 漏洞扫描：定期做，发现问题及时修。
- 应急演练：每年至少一次，留存记录。
- 安全巡检：每天看告警，每周写总结。
我个人的做法：在运维阶段部署一个安全运营平台（SIEM），把日志统一收拢，自动出报表。这样网安来抽查时，数据一拉就有，省得临时翻箱倒柜。
这五个阶段环环相扣，不是走完一趟就结束。持续的监控和整改，才能让系统真正安全。下面这张流程图画出了它们的逻辑关系：